Tədqiqatçılar 5,700 qurbanı kriptovalyutalarını imzalamağa aldadan 4,200 zərərli ağıllı müqavilə aşkar etdilər

Kripto cüzdanlarındakı təhlükəsizlik alətləri ilə transferlərin simulyasiyası, istifadəçinin depozitini bir hücumçuya göndərən son əməliyyat zamanı belə kiçik bir qazanc göstərə bilər, bu, 30 iyul tarixli arXiv ön çapında qeyd olunub ki, bu texnikanı 5,742 qurban ünvanı və təxminən 3.48 milyon dollar tarixi itkilərlə əlaqələndirir.

Müəlliflər, Ethereum, BNB Smart Chain, Avalanche və Polygon üzərində 4,224 əməliyyat-simulyasiya phishing müqaviləsini müəyyən etmək üçün SimGuard adlı müqavilə-bayt kodu detektorundan istifadə ediblər.

Tədqiqat onları 6,223 qurban əməliyyatı ilə əlaqələndirib, lakin itki təxminini yuxarı hədd olaraq adlandırıb, çünki bəzi hücumçu test fəaliyyətləri yanlış təsnif edilmiş ola bilər. İtkinin 91.5%-ni Ethereum-a və çarpaz zəncirin toplamının təxminən 83%-ni onun ən böyük təxmin edilən klasterinə aid edib.

Tapıntılar hələ peer review edilməyib. Məqalə həmçinin Avalanche müqavilə sayı üçün qeyri-kafi rəqəmlər təqdim edir və müşahidə dövrü üçün ziddiyyətli son nöqtələr təqdim edir, bu da onun hər zəncir üzrə bölünməsini və dəqiq zaman pəncərəsini həll etməmişdir.

Təhlükəsiz görünən ön baxışın necə fərqlənə biləcəyi

Əməliyyat simulyasiyası, bir əməliyyatın nə edəcəyini gözlədiyi bir ön imza görüntüsünü alır. Məqalədə təsvir olunan müqavilələr, bu yoxlamada bir nəticə verə bilən və əməliyyat zəncirində icra edildikdə başqa bir nəticə verə bilən budaqlar ehtiva edir.

Saxlama-nəzarət nümunəsində, simulyasiya istifadəçinin depozitini və kiçik bir mükafatı qaytarır. Hücumçu daha sonra əməliyyat yerinə yetirilmədən əvvəl istifadəçinin ünvanını qara siyahıya almaq kimi müqavilənin vəziyyətini dəyişə bilər. İcra olunan budaq depoziti hücumçu tərəfindən idarə olunan bir ünvana göndərir.

Zaman möhürü əsaslı müqavilələr sonrakı blok vaxtını istismar edə bilər, eyni zamanda qaz-nəzarət müqavilələri simulyator və son əməliyyat fərqli qaz limitləri istifadə etdikdə fərqli davranış göstərə bilər. Buna görə də, hər bir variant hücumçunun ön baxışdan sonra zəncir üzərində saxlanılan məlumatları dəyişdirməsini tələb etmir.

İdarə olunan bir testdə, müəlliflər bir hesabın balansını 1 wei, ETH-nin ən kiçik vahidinə qaytaran bir müqaviləyə göndərdilər. Onlar bir neçə test edilmiş ön baxışın müsbət bir təxmin göstərdiyini və əksəriyyətinin tam çıxan məbləği açıq şəkildə göstərmədiyini bildirdilər.

Məqalə tarixi qurbanlar tərəfindən istifadə olunan cüzdan versiyalarını, parametrləri və simulyasiya arxa planlarını müəyyən etmir. MetaMask-ın cari sənədi, təxmin edilən balans dəyişikliklərini proqnozlar adlandırır və son nəticənin zəmanət verilmədiyini xəbərdar edir.

Tədqiqat tərəfindən qeyd olunan 8 yanvar 2025-ci il tarixli Etherscan əməliyyatı, phishing olaraq etiketlənmiş bir müqavilə vasitəsilə təxminən 143.45 ETH köçürən Claim() çağırışını qeyd edir. Zəncir üzərindəki qeyd, məqalədə təsvir olunan transferi dəstəkləyir, baxmayaraq ki, istifadəçinin cüzdan ön baxışında nə göründüyünü göstərə bilmir.

Müəlliflər, müvafiq müqavilə vəziyyəti və qaz sahələri dəyişdikdə simulyasiyaları yenidən işə salmağı, faktiki sorğuda qaz limitini və qaz qiymətini istifadə etməyi və cari və gələcək blok-nömrəsi və zaman möhürü girişlərini test etməyi tövsiyə edirlər. Onların UI tapıntıları, cüzdandan çıxan ümumi məbləği dəqiq net balans dəyişiklikləri ilə göstərməyi dəstəkləyir, beləliklə, əhəmiyyətsiz bir geri ödəmə mənfəət kimi səhv başa düşülə bilməz.

Ön çap tarixi fəaliyyəti təsvir edir, iyul və avqust aylarında canlı bir hücum dalğası deyil. Onların detektor qiymətləndirməsi 30-u Gemini ilə yaradılmış 44 müqaviləni əhatə edir və əlaqəli kod və məlumat anbarı yoxlanıldığında HTTP 401 qaytarıb.

Toplam nəticələr buna görə müəlliflərin tapıntıları olaraq qalır, müstəqil olaraq təkrarlanan ölçmə deyil.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.